☰

网络充斥着 M-SEARCH 数据包：这意味着什么？

tag-icon • tag-icon windows upnp networking
网络充斥着 M-SEARCH 数据包：这意味着什么？

我刚刚在公寓的计算机上启动了 Wireshark，发现公寓楼网络上的另一台计算机正在通过 UDP 发送大量 HTTP 数据包（大约每秒 18-20 个……可能不是“洪水”，但数量很多），请求行是M-SEARCH * HTTP/1.1。现在，我不是网络管理员，也无法控制哪台计算机发送这些数据包，所以我只是出于好奇才调查此事。

以下是 Wireshark 报告的典型数据包的信息：

--UDP--
源端口：50623
目标端口：ssdp（1900）
长度：140
--HTTP--
请求方法：M-SEARCH
请求 URI：*
请求版本：HTTP/1.1
MX: 3\r\n
主机：239.255.255.250:1900\r\n
人：“ssdp：发现”\r\n
ST：urn：schemas-upnp-org：服务：WANIPConnection：1\r\n

我谷歌了一下，找到了一个链接，暗示这个可能与 Windows Messenger 有关；唯一的区别是该网页说搜索目标应该是，urn:schemas-upnp-org:device:InternetGatewayDevice:1但我看到的数据包的搜索目标是urn:schemas-upnp-org:device:WANIPConnection:1或urn:schemas-upnp-org:device:WANPPPConnection:1。

我还发现了另一个链接，暗示可能与 Downadup 蠕虫有关，但该网页称该蠕虫应该发送带有四个不同搜索目标的数据包，也就是我看到的两个以及urn:schemas-upnp-org:device:InternetGatewayDevice:1和upnp:rootdevice。我不确定缺少其他两个搜索目标是否表示这不是 Downadup 蠕虫。

我还发现了另一个链接提到与通用即插即用有关但我真的对 UPnP 了解不够，无法解释他们在该页面上所讨论的内容。

有人认识到这种情况并能告诉我另一台计算机可能发生了什么事吗？

附言：自从我开始写这条消息以来，数据包流似乎已经停止了。

答案1

这些是 UPnP 发现数据包。其目的是发现 UPnP 设备，如家庭路由器或媒体服务器。例如，Windows Live Messenger 会尝试发现其所连接的家庭路由器，以便自动重定向某些网络端口。

不过，这个速率是不寻常的。在大型以太网上接收大量此类数据包是正常的，因为它们通常被发送到广播地址，但每秒从单身的电脑异常。

答案2

以防其他人看到相同的数据包。是的，这些是 UPnP 发现数据包，用于搜索 IP 路由器。如果您的路由器启用了 UPnP，则想要找到它的软件可以添加端口映射、删除端口映射、获取外部 IP 地址（路由器 IP）等。

基本上，大多数情况下，搜索 WANIPConnection 或 WANIPPPConnection 服务类型 (ST: WANIPConnection/WANIPPPConnection) 的代码都希望实现入站连接。这对于 P2P 应用程序和所有需要入站连接的应用程序来说都很常见。病毒和网络机器人也会这样做。

经过 NAT 的计算机需要端口转发才能访问，并且只能从内部进行。

答案3

我知道这是一篇旧帖子，但只是想分享我对此的研究。我也在 wireshark 上捕获了同一组数据包。

我最初在 Windows 7 计算机上禁用了 UPnP，但这没有帮助。之后，我通过在路由器上禁用 UPnP 摆脱了这些嘈杂的数据包。

答案4

抱歉顶一下这个帖子，但我发现它还没有得到答复，这个问题在 Windows 7 上仍然存在

如果您同时关闭 SSDP 发现服务和通用即插即用设备主机，则不会停止所有 SSDP 流量；用户数据报协议 (UDP) 端口 1900 流量可能会记录在防火墙日志或数据包过滤设备日志中。如果您运行流量跟踪，数据包的数据部分将显示以下信息：

 SSDP: Method = M-SEARCH
 SSDP: Uniform Resource Identifier = *
 SSDP: HTTP Protocol Version = HTTP/1.1
 SSDP: Host = 239.255.255.250:1900
 SSDP: Search Target = urn:schemas-upnp-org:device:InternetGatewayDevice:1
 SSDP: Mandatory Extension = "ssdp:discover"
 SSDP: Maximum Wait = 3

Windows Messager 发送 SSDP 数据包，它不使用 SSDP，而是创建 SSDP 数据包并自行发送（它本身就是 SSDP）。您必须在注册表中禁用此功能。

重要的 此部分、方法或任务包含告诉您如何修改注册表的步骤。但是，如果您错误地修改注册表，可能会出现严重问题。因此，请确保仔细遵循这些步骤。为了增加保护，请在修改注册表之前备份它。然后，如果出现问题，您可以恢复注册表。

要解决此问题，请配置注册表以关闭发现消息：1. 启动注册表编辑器 (Regedt32.exe)。2. 在注册表中找到并单击以下项： HKEY_LOCAL_MACHINE\Software\Microsoft\DirectPlayNATHelp\DPNHUPnP

3.关于编辑菜单，点击增加价值，然后添加以下注册表值：

 Value name: UPnPMode
 Data type: REG_DWORD
 Value data: 2

4.退出注册表编辑器。

相关内容